Ein Praktikant geht nach drei Monaten, eine Freelancerin schließt ihr Projekt ab, ein Mitarbeiter wechselt den Job. Der Abschied ist freundlich, das letzte Gespräch nett, und einen Tag später denkt niemand mehr daran. Genau hier entsteht das Problem.
Denn die Zugänge, die diese Person für ihre Arbeit brauchte, bleiben in den meisten kleinen Betrieben aktiv. Das CMS-Login funktioniert weiter, der Schlüssel zum geteilten Passwort-Tresor auch, und das Postfach läuft im Hintergrund mit. Beruhigend ist, dass Du das in wenigen geordneten Schritten abstellst, sobald Du weißt, wo überall ein Zugang hängt.
Warum Offboarding ein Sicherheitsthema ist
Beim Onboarding vergibst Du Zugänge mit Bedacht, weil die Person sie für ihre Arbeit braucht. Beim Abschied fehlt dieser Anlass, und deshalb fällt der Schritt durchs Raster. Übrig bleibt ein aktiver Zugang ohne Aufgabe dahinter.
Solche verwaisten Konten sind ein dankbares Ziel. Niemand benutzt sie aktiv, also fällt niemandem auf, wenn sich jemand Fremdes damit anmeldet. Ein verärgerter Ex-Mitarbeiter, ein altes Passwort aus einem geleakten Datensatz oder eine Freelancerin, deren eigener Rechner später kompromittiert wird, reichen aus, um über diesen vergessenen Eingang in Deine Systeme zu gelangen.
Dazu kommt der Datenschutz. Wer Dein Unternehmen verlassen hat, soll keinen Zugriff mehr auf Kundendaten, Rechnungen oder Postfächer haben. Bleibt der Zugang offen, verlierst Du die Kontrolle darüber, wer Deine Daten sieht, und im Ernstfall musst Du das gegenüber Kunden und Behörden erklären.
Welche Zugänge wirklich betroffen sind
Der erste Reflex ist das CMS-Login, und das ist richtig. Aber die meisten Lücken liegen bei den Zugängen, an die im Abschiedstrubel niemand denkt. Geh die folgende Liste durch und prüfe für jede Person einzeln, was sie tatsächlich in der Hand hatte.
- CMS und Backend: Das Redaktions- oder Admin-Login Deiner Webseite, oft auch der Shop oder ein Buchungssystem.
- Hoster und Server: Kundenkonto beim Hoster, FTP-Zugänge, Datenbank-Tools und das Server-Login. Hier richtet ein verbliebener Zugang den größten Schaden an.
- E-Mail: Persönliche Postfächer, aber auch geteilte Adressen wie info@ oder buchhaltung@, auf die mehrere Leute Zugriff hatten.
- Externe Tools: Newsletter-Dienst, Cloud-Speicher, Projektmanagement, Social-Media-Konten, Buchhaltung und Analyse-Werkzeuge. Jedes davon ist ein eigener Login.
- Geteilte Passwörter: Zugangsdaten, die per Chat, Notizzettel oder gemeinsamem Dokument verteilt wurden. Diese Passwörter kennt die Person dauerhaft, selbst wenn Du ihr eigenes Konto sperrst.
Der letzte Punkt ist der unangenehmste. Ein gesperrtes Konto lässt sich abschalten, ein gemerktes Passwort nicht. Wenn mehrere Leute dasselbe Passwort für den Hoster oder den Instagram-Account genutzt haben, musst Du dieses Passwort beim Abschied ändern, sonst bleibt der Zugriff bestehen.
Die Offboarding-Checkliste
Am verlässlichsten arbeitest Du diese Schritte in der Reihenfolge ab, sobald der Austritt feststeht. So entsteht keine Lücke, durch die in der Zwischenzeit noch etwas passiert.
- Liste erstellen: Notiere alle Zugänge, die diese Person hatte. Falls Du beim Onboarding nichts dokumentiert hast, geh die Tool-Liste oben durch.
- Konten deaktivieren: Sperre persönliche Logins in CMS, Hoster-Konto und allen Tools. Deaktivieren ist sicherer als sofort löschen, weil Du die zugeordneten Inhalte später noch sauber übergeben kannst.
- Geteilte Passwörter ändern: Jedes Passwort, das die Person kannte, wird neu vergeben. Das betrifft vor allem Hoster, Social Media und gemeinsame Postfächer.
- E-Mail umleiten: Richte für das Postfach eine Weiterleitung an eine aktive Adresse ein, damit keine Kundenanfrage verloren geht, und entziehe der Person danach den Zugriff.
- Geräte und Schlüssel: Hol Firmen-Hardware zurück und denk an gespeicherte Logins im Browser oder in Apps auf diesen Geräten.
- Kontrolle: Melde Dich nach ein paar Tagen testweise mit den alten Daten an. Klappt nichts mehr, ist das Offboarding sauber.
Diese sechs Schritte kosten Dich bei einer einzelnen Person eine knappe Stunde. Verglichen mit einem Vorfall, den ein vergessener Zugang auslöst, ist das eine günstige Versicherung.
Vorbeugen mit sauberem Zugangsmanagement
Jedes Offboarding wird leichter, wenn das Onboarding ordentlich läuft. Wer von Anfang an weiß, wer welchen Zugang hat, muss beim Abschied nichts mehr zusammensuchen. Dafür genügen drei einfache Gewohnheiten, ganz ohne teure Software.
Vergib jeder Person ein eigenes Konto statt eines gemeinsamen Logins. Eigene Konten lassen sich einzeln sperren, ohne dass alle anderen ein neues Passwort brauchen. Gleichzeitig siehst Du in den Protokollen, wer was geändert hat, was bei Fehlern und im Verdachtsfall Gold wert ist. Wie Du von Anfang an festlegst, wer überhaupt welche Rechte bekommt, zeigt Dir der Beitrag zum Rollen- und Rechtekonzept. Mehr dazu liest Du im Beitrag zu Benutzerrechten und Admin-Zugängen im CMS.
Teile Passwörter über einen gemeinsamen Tresor statt per Chat oder Zettel. Dort entziehst Du den Zugriff einer Person mit einem Klick, und das geteilte Passwort bleibt nicht in irgendeinem Notizbuch zurück. Wie das praktisch funktioniert, zeigt der Beitrag zum Passwort-Manager im Einsatz.
Sichere wichtige Zugänge zusätzlich mit einem zweiten Faktor ab. Selbst ein altes Passwort nützt niemandem, wenn die Anmeldung noch eine Bestätigung über ein Gerät verlangt, das die Person nach dem Austritt nicht mehr besitzt. Die Zwei-Faktor-Authentifizierung ist hier Deine zweite Verteidigungslinie.
Fazit
Offboarding ist der Moment, in dem Du entscheidest, wer nach dem Abschied noch in Deine Systeme schauen kann, und damit mehr als lästiger Papierkram. Eine kurze Liste, ein paar gesperrte Konten und geänderte Passwörter genügen, um diese Tür zuverlässig zu schließen.
Am wenigsten Arbeit hast Du, wenn Du schon beim Onboarding sauber aufstellst. Eigene Konten, ein gemeinsamer Tresor und ein zweiter Faktor machen aus dem Abschied eine Sache von Minuten statt einer nervösen Suche nach vergessenen Zugängen.